--- title: "Datenschutzkonformität von LLM nach DSGVO und Schweizer Datenschutzrecht" description: "Grosse Sprachmodelle revolutionieren die Art, wie Unternehmen arbeiten. Doch wer ein Large Language Model in der Schweiz einsetzt, muss DSGVO und nDSG…" date: "2026-02-27T12:34:08.419+00:00" updated: "2026-08-12T20:22:45.730047+00:00" author: "Cybershark Team" url: "https://cybershark.ch/blog/datenschutzkonformitaet-von-llm-nach-dsgvo-und-schweizer-datenschutzrecht" tags: ["Datenschutz", "LLM", "Schweiz", "GDPR", "AI Act", "DSGVO"] --- # Datenschutzkonformität von LLM nach DSGVO und Schweizer Datenschutzrecht ## Wichtigste Erkenntnisse LLM lassen sich in der Schweiz DSGVO- und nDSG-konform einsetzen, wenn Unternehmen rechtliche, technische und organisatorische Massnahmen von Anfang an integrieren. Der Schlüssel liegt in einer strukturierten Herangehensweise, die Risiken realistisch einschätzt und pragmatische Lösungen ermöglicht. - **Zentrale Pflicht:** Personenbezogene Daten in Prompts und Trainingsdaten dürfen nur mit gültiger Rechtsgrundlage und klarer Zweckbindung verarbeitet werden. - **Besonderheit Schweiz:** Das neue Datenschutzgesetz (nDSG) gilt seit dem 1. September 2023 und ist bei EU-Bezug parallel zur DSGVO anwendbar. - **Technische Schutzmassnahmen:** EU- oder CH-Hosting, Verschlüsselung, Rollen- und Berechtigungskonzepte sowie lückenloses Logging sind unverzichtbar. - **Governance:** Eine verbindliche KI-Richtlinie, eine Datenschutz Folgenabschätzung (DSFA) und regelmässige Schulung der Mitarbeitenden bilden das organisatorische Fundament. ## Einführung: LLM, DSGVO und Schweizer Datenschutz auf einen Blick Grosse Sprachmodelle wie ChatGPT, Azure OpenAI oder lokale Modelle wie Ollama und schweizer Alternativen wie die [Secure Swiss AI](https://cybershark.ch/secure-swiss-ai) haben in kurzer Zeit Einzug in Unternehmen gehalten. KMU nutzen sie für Kundenservice und Texte, öffentliche Institutionen experimentieren mit Effizienzsteigerung in der Bearbeitung von Anfragen. Die Verbreitung dieser KI Modelle ist ein Meilenstein für die künstliche Intelligenz im geschäftlichen Einsatz. Warum aber ist Datenschutz bei LLM so relevant? Ein Large Language Model verarbeitet regelmässig personenbezogene Daten – sei es durch direkte Eingaben in Prompts, durch generierte Outputs oder durch Logdaten, die bei der Nutzung anfallen. Damit fallen diese Systeme unter die Datenschutz Grundverordnung der europäischen Union und das Schweizer Bundesgesetz über den Datenschutz. Die DSGVO gilt seit dem 25. Mai 2018, das revidierte nDSG seit dem 1. September 2023. Für viele Schweizer Unternehmen sind beide Regelungen gleichzeitig zu beachten. Dieser Artikel dient als praxisnahe Orientierung für Compliance-Verantwortliche, Datenschutzbeauftragte und IT-Leitungen. Sie erhalten Checklisten, konkrete Beispiele und klare Handlungsempfehlungen, um LLM in Ihrem Unternehmen rechtssicher einzusetzen. ## Rechtlicher Rahmen: DSGVO, nDSG und KI-Regulierung in der Schweiz Der rechtliche Rahmen für den Einsatz von LLM in der Schweiz ist vielschichtig. Die wichtigsten Rechtsquellen umfassen die Datenschutzgrundverordnung (DSGVO) der EU, das Schweizer Datenschutzgesetz (nDSG), die Datenschutzverordnung (DSV) und die Verordnung über Datenschutzzertifizierungen (VDSZ). Hinzu kommt der EU AI Act, der schrittweise ab 2025/2026 in Kraft tritt und auch Schweizer Firmen betrifft, die in der EU tätig sind oder Daten dorthin übermitteln. Die zentralen Eckpfeiler im Überblick: - **Extraterritoriale Wirkung der DSGVO:** Schweizer Unternehmen fallen unter die DSGVO, wenn sie Waren oder Dienstleistungen in der EU anbieten oder das Verhalten von Personen in der EU beobachten. Ein Webshop mit EU-Kunden oder ein Tracking-Tool auf einer Website kann bereits ausreichen. - **Ziele des nDSG:** Das neue Schweizer Datenschutzgesetz schützt die Persönlichkeit und Grundrechte natürlicher Personen. Es stärkt Informationsrechte, verschärft Pflichten und führt Strafbestimmungen ein – mit Geldstrafen bis zu CHF 250’000.- gegen natürliche Personen, nicht gegen Unternehmen. - **Schnittstellen zu KI-Regulierung:** Der EU AI Act klassifiziert KI Systeme nach Risiko und verlangt Transparenzpflichten, Dokumentation und Governance. Für LLM-basierte Anwendungen bedeutet dies zusätzliche Anforderungen, insbesondere wenn sie in sensiblen Bereichen wie HR, Gesundheit oder Finanzen eingesetzt werden. - **Wichtiger Hinweis:** Dieser Artikel ersetzt keine Rechtsberatung. Er dient als strukturierte Orientierung für die praktische Umsetzung von Compliance-Anforderungen. ## Personenbezogene Daten in LLM: Relativer Ansatz und praktische Folgen Ein häufiges Missverständnis betrifft die Frage, ob LLM überhaupt personenbezogene Daten verarbeiten. Technisch arbeiten diese Modelle intern mit Tokens und Zahlen. Das Datenschutzrecht stellt jedoch nicht auf diese interne Verarbeitung ab, sondern auf sichtbare Eingaben, Ausgaben und die Möglichkeit, Informationen wieder abzurufen. ### Der relative Personenbezug Sowohl DSGVO als auch nDSG folgen einem relativen Ansatz: Personenbezogene Daten sind relativ zu den Mitteln zu beurteilen, die den konkret Beteiligten vernünftigerweise zur Verfügung stehen. Das bedeutet: Nicht jede theoretische Identifizierungsmöglichkeit macht Daten zu personenbezogenen Daten. Der EuGH hat dies im sogenannten «VIN»-Urteil (C-582/14) klargestellt. Auch das Schweizer Bundesgericht verlangt ein subjektives Interesse und eine objektive Möglichkeit zur Identifikation. Rein theoretische Identifizierbarkeit reicht nicht aus. ### Praxisbeispiele für den LLM-Einsatz Szenario Personenbezug Erläuterung Automatisierte Zusammenfassung von HR-Dossiers Ja, klar gegeben Namen, Personalnummern, Beurteilungen sind direkt identifizierbar Kundensupport mit Kundennummern Ja, gegeben Kundennummern ermöglichen Identifikation im Kontext Medizinische Befunde analysieren Ja, besonders sensibel Gesundheitsdaten unterliegen erhöhtem Schutz Rein synthetische Testdaten Nein Keine realen Personen betroffen Technische Dokumentation ohne Personenbezug Nein Keine identifizierbaren Personen Datenschutzbehörden gehen im Zweifel davon aus, dass grosse Sprachmodelle personenbezogene Daten enthalten können. Unternehmen müssen dies in ihrer Risikobeurteilung berücksichtigen und dokumentieren. ## Verantwortlichkeiten: Rollenmodell bei der Nutzung grosser Sprachmodelle Datenschutzpflichten knüpfen immer an konkrete Bearbeitungsaktivitäten und Akteure an. Bei LLM sind dies typischerweise der Ersteller des Modells, der Anbieter der Infrastruktur und der Nutzer im Unternehmen. Die Zuordnung der Rollen ist entscheidend für die Frage, wer welche Pflichten trägt. ### Rollen nach DSGVO und nDSG Das Recht unterscheidet zwischen: - **Verantwortliche Stelle (Controller):** Entscheidet über Zweck und Mittel der Datenverarbeitung. Bei der LLM-Nutzung ist dies typischerweise das Schweizer Unternehmen, das das Modell einsetzt. - **Auftragsbearbeiter (Processor):** Verarbeitet Daten im Auftrag des Verantwortlichen. Cloud-Anbieter wie Microsoft Azure oder spezialisierte KI-Provider fallen meist in diese Kategorie. - **Gemeinsame Verantwortlichkeit:** Liegt vor, wenn mehrere Parteien gemeinsam über Zweck und Mittel entscheiden. ### Lebenszyklus eines LLM Die Verantwortlichkeiten unterscheiden sich je nach Phase: Phase Typische Akteure Datenschutzverantwortung Training Forschungsinstitutionen (ETH, EPFL), Datenlieferanten Verantwortlich für rechtmässige Trainingsdaten Bereitstellung Hyperscaler, spezialisierte KI-Provider Auftragsbearbeiter mit eigenen Sicherheitspflichten Einsatz Fachabteilungen, IT des Unternehmens Verantwortlich für konkrete Nutzung und Eingaben Wichtig: Datenschutzverstösse beim Modelltraining durch Dritte lösen nicht automatisch eine Verantwortlichkeit des nutzenden Unternehmens aus – vorausgesetzt, im eigenen Einsatz erscheinen keine personenbezogenen Daten im Output oder es werden nur stark anonymisierte Daten genutzt. Die Haftung des nutzenden Unternehmens ist zwar nicht automatisch gegeben, wenn der Fehler beim Training des Drittanbieters lag. Das Unternehmen ist aber eigenverantwortlich für die Sicherheit der Daten, die es eingibt, und dafür, dass der Output keine Datenschutzverletzungen verursacht. ### Vertragliche Absicherung In Verträgen mit LLM-Anbietern sollten Sie folgende Punkte klar regeln: - Auftragsbearbeitungsvereinbarung nach Art. 28 DSGVO bzw. Art. 9 nDSG - Ort der Datenverarbeitung (EU/Schweiz bevorzugt) - Subunternehmerkaskaden und deren Genehmigung - Technische und organisatorische Massnahmen des Anbieters - Option zur Deaktivierung des Trainings mit Kundendaten - Der Kunde muss informiert sein, wenn seine Daten bei einem Drittverarbeiter landen ## Pflichten nach DSGVO und nDSG beim Einsatz von LLM Dieser Abschnitt dient als Checkliste für die datenschutzkonforme Einführung von LLM in Schweizer Organisationen. Die Pflichten sind vielfältig, lassen sich aber systematisch abarbeiten. ### Rechtsgrundlagen festlegen Bevor Sie ein LLM produktiv einsetzen, müssen Sie klären: - **Verarbeitungszweck:** Wofür genau wird das LLM eingesetzt? (z.B. Kundenservice, interne Wissenssuche, Dokumentenerstellung) - **Rechtsbasis:** Vertragserfüllung, berechtigtes Interesse oder Einwilligung? - **Dokumentation:** Eintrag im Verzeichnis der Verarbeitungstätigkeiten ### Transparenz und Informationspflichten erfüllen Die Nutzung von LLM muss gegenüber betroffenen Personen transparent sein: - Aktualisierung der Datenschutzerklärung mit Hinweis auf LLM-Einsatz - Nennung des Anbieters und der Kategorien verarbeiteter Daten - Angabe von Übermittlungsorten und Speicherdauer - Verständliche Erläuterung für technisch nicht versierte Personen ### Datenminimierung und Zweckbindung umsetzen Das Prinzip der Datenminimierung ist bei LLM besonders wichtig: - Keine Eingabe unnötiger personenbezogener Daten in Prompts - Pseudonymisierung oder Anonymisierung vor der Nutzung - Klare Trennung von Produktiv- und Testdaten - Beschränkung auf wirklich erforderliche Datenfelder ### Meldung von Datenschutzvorfällen vorbereiten Datenschutzverletzungen können auch beim LLM-Einsatz auftreten. Sie benötigen: - Prozesse zur Erkennung von Data Breaches - Frist von 72 Stunden für Meldung an Aufsichtsbehörde (DSGVO) - Unverzügliche Meldung an den EDÖB (nDSG) - Kriterien, wann auch betroffene Personen zu informieren sind (bei hohem Risiko) ### Datenschutz Folgenabschätzung durchführen Eine DSFA ist erforderlich bei: - Systematischer Bewertung persönlicher Aspekte (Profiling) - Verarbeitung besonderer Datenkategorien in grossem Umfang - Weitreichender Automatisierung von Entscheidungen LLM-basierte Anwendungen in HR, Gesundheitswesen oder Finanzsektor sollten grundsätzlich einer Prüfung unterzogen werden. ![Auf dem digitalen Bildschirm ist ein Schloss-Symbol zu sehen, das für Datensicherheit steht. Es symbolisiert den Schutz personenbezogener Daten und die Einhaltung der Datenschutzgrundverordnung (DSGVO) in Unternehmen.](https://images.surferseo.art/71d46f40-9e1b-4910-872b-23154909ced7.png) ## Technische und organisatorische Massnahmen für LLM-Compliance Privacy by Design und Privacy by Default sind keine abstrakten Konzepte, sondern konkrete Anforderungen bei der Implementierung von LLM-Lösungen. Schweizer Unternehmen und Verwaltungen müssen technische Sicherheit mit organisatorischen Prozessen verbinden. ### Infrastrukturwahl Die Wahl der richtigen Infrastruktur ist ein zentraler Baustein für Datenschutzkonformität: - **Hosting-Standort:** Bevorzugung von Servern in der Schweiz oder im EWR - **Trainingsdeaktivierung:** Dienste wählen, die keine Kundendaten für Modelltraining verwenden - **Lokale LLM:** Für besonders sensible Szenarien Modelle wie Ollama oder Apertus in kontrollierten Infrastrukturen evaluieren Das Schweizer LLM-Projekt, entwickelt von ETH Zürich, EPFL und CSCS auf dem Alps-Supercomputer, bietet hier eine interessante Option. Mit vollständiger Offenlegung von Code, Modellgewichten und Trainingsdaten unter Apache-2.0-Lizenz ist es eines der transparentesten LLM weltweit. ### Sicherheitsmassnahmen implementieren Massnahme Beschreibung Priorität TLS-Verschlüsselung Verschlüsselung aller Datenübertragungen Hoch Verschlüsselung ruhender Daten Schutz gespeicherter Informationen Hoch API-Härtung Sichere Konfiguration von Schnittstellen Hoch Rollen- und Berechtigungsmanagement Zugriff nur nach Bedarf Mittel Logging und Monitoring Protokollierung von Zugriffen und Prompts Mittel ### Datenstrategie entwickeln Eine durchdachte Datenstrategie umfasst: - **Safe Prompts:** Vordefinierte Eingabemasken ohne Freitextfelder für kritische Daten - **Automatische Maskierung:** Redaktion von Personenkennungen vor der Verarbeitung - **Löschkonzepte:** Klare Retention-Policies für Prompts und Outputs - **Qualitätssicherung:** Regelmässige Überprüfung der Datenqualität ### Organisatorische Massnahmen verankern Technik allein reicht nicht. Sie benötigen auch: - Interne Richtlinien für den Umgang mit KI (LLM-Guidelines) - Schulung der Mitarbeitenden zum Verbot der Eingabe von Geheimnissen, Gesundheitsdaten oder besonders schützenswerten Personendaten in öffentliche Chatbots - Regelmässige Audits und Penetrationstests - Datenschutz-Audits zur Nachweisbarkeit der Compliance ## Schweizer Besonderheiten: nDSG, Datenexport und lokale LLM-Optionen Schweizer Unternehmen können die DSGVO nicht einfach kopieren. Das nDSG hat eigene Anforderungen, die zusätzlich oder abweichend gelten. Dieser Raum zwischen EU-Recht und nationalem Recht erfordert besondere Aufmerksamkeit. ### Datentransfer ins Ausland Die Bekanntgabe von Daten ins Ausland unterliegt strengen Regelungen: - **Angemessenheitsentscheid:** Die Schweiz und die EU haben gegenseitige Angemessenheitsbeschlüsse, was den Datenaustausch erleichtert - **Standardvertragsklauseln:** Bei Übermittlung in Länder ohne Angemessenheitsentscheid erforderlich - **Binding Corporate Rules:** Für konzerninterne Übermittlungen Bei Cloud-basierten LLM ist die Frage des Datenstandorts besonders relevant. US-Anbieter wie OpenAI übermitteln Daten potenziell transatlantisch, was zusätzliche Schutzmassnahmen erfordert. ### Sanktionen und persönliche Haftung Ein wesentlicher Unterschied zur DSGVO: Das nDSG richtet sich mit Strafbestimmungen gegen natürliche Personen, nicht gegen Unternehmen. Das bedeutet: - Geldstrafen bis CHF 250’000.- treffen verantwortliche Personen direkt - Saubere interne Verantwortlichkeitszuweisung ist essenziell - Dokumentation aller Entscheidungen schützt Beteiligte ### Lokale und Schweizer LLM-Initiativen Die Schweiz hat mit dem nationalen LLM-Projekt einen eigenen Weg eingeschlagen: - Modellvarianten mit 8 Milliarden und 70 Milliarden Parametern - Training auf 15 Billionen Tokens in über 1’500 Sprachen - Ethisch kuratierte Trainingsdaten mit Respektierung von Opt-Outs - Vollständige Transparenz als Gegenentwurf zu proprietären Black Boxes Auch Lösungen wie netsafeAI bieten für KMU, öffentliche Institutionen und regulierte Branchen Optionen mit Datenverbleib auf Schweizer Servern. ### Branchenspezifische Regelungen Je nach Branche gelten zusätzliche Vorgaben: - **FINMA:** Aufsichtsrechtliche Anforderungen im Finanzsektor - **Gesundheitsrecht:** Besondere Schutzvorschriften für Patientendaten - **Öffentliche Verwaltung:** Spezifische Governance-Anforderungen Diese müssen bei LLM-Projekten in den betreffenden Bereichen zwingend mitgeprüft werden. ![Die Abbildung zeigt eine malerische Schweizer Berglandschaft mit schneebedeckten Gipfeln im Hintergrund und einem modernen Rechenzentrum im Tal, das für Unternehmen und deren KI-Systeme konzipiert ist. Diese Infrastruktur steht im Einklang mit den Anforderungen der Datenschutzgrundverordnung (DSGVO) und bietet einen sicheren Raum für die Verarbeitung personenbezogener Daten.](https://images.surferseo.art/446f304e-caab-4c6a-b747-04fbce48380e.png) ## Praxisempfehlungen für datenschutzkonforme LLM-Projekte Dieser Abschnitt fungiert als praktische Roadmap von der ersten Idee bis zum produktiven Betrieb. Die Erfahrung zeigt: Wer Datenschutz von Anfang an mitdenkt, spart später Zeit und Ressourcen. ### Projektstart richtig gestalten Am Anfang steht die Analyse: 1. **Use-Case-Workshop:** Konkrete Anwendungsfälle identifizieren und priorisieren 2. **Risikoklassifikation:** Nach Datenarten, Nutzerkreis und Auswirkungen auf betroffene Personen 3. **Stakeholder einbinden:** Datenschutz, IT-Sicherheit und Rechtsabteilung frühzeitig beteiligen 4. **Grundlage schaffen:** Dokumentation der Entscheidungen von Beginn an ### Pilotphase sorgfältig durchführen Bevor Sie in Produktion gehen: - Geschlossene Testumgebung mit synthetischen oder stark pseudonymisierten Daten aufbauen - Alle Tests dokumentieren - Genauigkeit des Modells validieren - Halluzinationsrisiko bewerten - Datenschutzwirkungen prüfen ### Produktivbetrieb absichern Im laufenden Betrieb sind folgende Elemente unverzichtbar: Element Beschreibung Zugriffskontrollen Wer darf das LLM nutzen? Mit welchen Daten? Logging Protokollierung aller Anfragen und Antworten Support-Prozesse Anlaufstelle bei Fragen und Problemen Incident-Management Reaktionsplan bei Datenschutzvorfällen Konfigurationsmanagement Regelmässige Überprüfung der Modelleinstellungen ### Schulung und Akzeptanz fördern Menschen sind der wichtigste Faktor für erfolgreiche Compliance: - Praxisnahe Trainings mit Do’s and Don’ts - Beispiele guter und schlechter Prompts - Klare Regeln für den Umgang mit sensiblen Informationen - Aufbau einer «KI-Hotline» oder eines internen Kompetenzzentrums **Unterfazit:** Datenschutzkonforme LLM-Nutzung ist möglich, wenn rechtliche, technische und organisatorische Massnahmen integrierter Bestandteil des Projekts sind – nicht nachträgliche Anpassung. ## Fazit LLM bieten Schweizer Unternehmen und Institutionen grosse Effizienzpotenziale. Die Nutzung dieser Tools erfordert jedoch sorgfältige Risikoanalyse und konsequente Compliance-Arbeit nach DSGVO und nDSG. Das Ergebnis lohnt sich: Rechtssichere Intelligenz für Ihr Unternehmen. Der differenzierte, relative Ansatz bei personenbezogenen Daten hilft, pragmatische Lösungen zu finden, ohne Risiken zu unterschätzen. Nicht jede Nutzung eines LLM ist automatisch problematisch – aber jede Nutzung verdient eine bewusste Prüfung. Lokale oder in der Schweiz und EU betriebene LLM, strenge Auftragsbearbeitungsverträge und klare interne Richtlinien sind die zentralen Bausteine für Datenschutzkonformität. Das Schweizer LLM-Projekt zeigt, dass Transparenz und Sicherheit auch bei leistungsfähigen Modellen möglich sind. Der Appell lautet nicht, LLM zu verbieten. Vielmehr sollten Unternehmen diese Technologie strukturiert, verantwortungsvoll und transparent in bestehende Datenschutz- und Governance-Strukturen integrieren. So wird künstliche Intelligenz zum Werkzeug, das Vertrauen verdient. ## Häufig gestellte Fragen (FAQ) ### Gilt die DSGVO auch für ein rein in der Schweiz tätiges Unternehmen, das LLM nutzt? Die DSGVO gilt primär, wenn Ihr Unternehmen Personen in der EU Waren oder Dienstleistungen anbietet oder deren Verhalten in der EU beobachtet. Ist dies nicht der Fall, gilt primär das nDSG. Allerdings können indirekte Pflichten entstehen, wenn Sie LLM-Dienste von EU-Anbietern nutzen. Eine Prüfung des Marktbezugs – also Ihrer Kunden, Nutzer und allfälliger Tracking-Aktivitäten – ist in jedem Fall erforderlich. Bei gemischten Geschäftsmodellen sind häufig beide Rechtsrahmen zu berücksichtigen, was die Löschung und Anpassung von Prozessen komplexer macht. ### Dürfen Mitarbeitende sensible Daten wie Gesundheitsinformationen in ein LLM eingeben? Besonders schützenswerte Personendaten wie Gesundheitsdaten, religiöse Überzeugungen oder Strafregistereinträge dürfen nur in eng begrenzten, rechtlich geprüften Szenarien verarbeitet werden. Diese Bearbeitung erfordert hohe Schutzmassnahmen und eine explizite Rechtsgrundlage. Die Empfehlung lautet: In Ihren Standardrichtlinien sollten Sie die Eingabe solcher Daten in externe oder öffentliche LLM strikt untersagen. Nur speziell abgesicherte, interne Lösungen mit entsprechender Aktualisierung der Sicherheitsmassnahmen kommen für solche Zwecke in Frage. ### Ist der Einsatz eines lokal installierten LLM automatisch datenschutzkonform? On-Premise-Betrieb reduziert zwar Übermittlungsrisiken, entbindet aber nicht von anderen Anforderungen. Transparenz gegenüber betroffenen Personen, Informationspflichten und Zweckbindung gelten unabhängig vom Hosting-Modell. Auch lokale Modelle erfordern eine klare Rechtsgrundlage, Datenminimierung, Löschkonzepte, technische Sicherheitsmassnahmen und gegebenenfalls eine Datenschutz Folgenabschätzung. Der Verweis auf lokales Hosting allein genügt nicht als Compliance-Nachweis. ### Müssen LLM-Projekte immer eine Datenschutz-Folgenabschätzung (DSFA) durchführen? Eine DSFA ist insbesondere bei hohem Risiko für Rechte und Freiheiten der betroffenen Personen notwendig. Typische Auslöser sind Profiling, systematische Bewertung von Personen, Masseneinsatz sensibler Daten oder weitreichende Automatisierung von Entscheidungen nach Art. 22 DSGVO. Die Empfehlung: Prüfen Sie LLM-Projekte systematisch anhand einer Checkliste. Bei Unsicherheit sollten Sie frühzeitig den Datenschutzbeauftragten oder externe Fachpersonen einbeziehen. Der Beitrag dieser Experten kann spätere Probleme vermeiden. ### Wie kann ein Unternehmen nachweisen, dass sein LLM-Einsatz datenschutzkonform ist? Zentrale Nachweise umfassen: Verzeichnis der Verarbeitungstätigkeiten, dokumentierte Risikoanalyse, DSFA (falls erforderlich), Verträge mit Auftragsbearbeitern, technische und organisatorische Massnahmen, Schulungsnachweise und Protokolle von Audits. Dokumentieren Sie alle wesentlichen Entscheidungen zum LLM-Einsatz schriftlich. Im Fall einer Prüfung durch den EDÖB oder EU-Aufsichtsbehörden können Sie so darlegen, dass Datenschutz «by Design» berücksichtigt wurde. Diese Antwort auf behördliche Fragen sollte jederzeit abrufbar sein. Autorin: Karin M. Letzte Änderung: 27.02.2026 _Haftungsausschluss: Die Inhalte dieses Beitrags wurden sorgfältig recherchiert und dienen ausschliesslich der allgemeinen Information. Angaben zu Anbietern, Funktionen, Preisen sowie zu rechtlichen und regulatorischen Anforderungen können sich jederzeit ändern. Für die Richtigkeit, Vollständigkeit und Aktualität wird keine Gewähr übernommen. Der Beitrag ersetzt keine individuelle Rechts-, Datenschutz- oder Fachberatung._